Wi-Fi güvenlik denetimi

Kablosuz denetim, ağa doğrultulan ve rapor döndüren bir araç değildir: her biri farklı bir ürün ve farklı bir süre üreten dört ölçümdür. İlk üçü salt okunurdur ve çoğu lokasyonda mesai saatinde yapılabilir. Dördüncüsü cihaz davranışını değiştirir, bu yüzden üzerinde anlaşılmış bir pencere ve telefonla ulaşılabilir bir sorumlu gerektirir.

Birinci geçiş envanterdir. Binayı dolaşıp menzildeki her BSSID kaydederiz: sizin ağlarınız, komşunun ağı, depodaki yazıcı, taşınmadan beri kimsenin girmediği bir toplantı odasındaki radyo. Sonra gözlemlediğimiz listeyi sahip olduğunuzu düşündüğünüz erişim noktası listesiyle karşılaştırırız. Sonuç tarama değil, bu karşılaştırmadır: 120 kişilik ve 28 onaylı erişim noktası olan bir ofis düzenli olarak 34 radyonun yayın yaptığı bir tabloyla kapanır ve her fazla radyonun arkasında bir sahip, bir kablo ve bir satın alma kararı vardır.

İkinci geçiş SSID bazında kimlik doğrulamadır. Denetleyicide yapılandırılmış yöntemi değil, her cihaz sınıfının gerçekte müzakere ettiği yöntemi kaydederiz; çünkü iki kayıt sanıldığından az örtüşür: geçiş modunda WPA3 ayarlanmış kurumsal bir ağ, depo okuyucusuyla hâlâ WPA2 müzakere eder ve istemcileri sunucu sertifikasını doğrulamayan bir 802.1X ağı, aynı adı yayınlayan herkese kimlik bilgisi toplama imkânı verir. Üçüncü geçiş erişilebilirliktir: her SSID'den bağlı bir cihazın gerçekte nereye ulaştığını kontrol ederiz; iç sunucular, portlar, yazıcı VLAN'ı, yönetim alt ağı ve ters yönde misafir ağı; sonucu sıfat olarak değil test edilen hedef ve port matrisi olarak raporlarız.

Dördüncü geçiş istemci davranışıdır: hangi yönetilen cihazlar başka bir BSSID tarafından yayınlanan kayıtlı bir SSID'ye katılıyor ve hangileri katılmadan önce kullanıcıyı uyarıyor. Bizim tarafımızdan iletim yapılan tek geçiş budur; bu yüzden kararlaştırılan pencerede yapılır ve sinyali sizinkinden güçlü olsa bile kapsam dışındaki bir ağa hiçbir zaman yönelmez.

Yetki işin ilk çıktısıdır, faturadan sonra gelen bir form değil. Adaptörü açmadan önce yazılı bir kapsam getiririz: ağın sahibi olan tüzel kişi, kapsamdaki lokasyonlar ve katlar, yalnızca bina değil ad belirtilerek yetkilendirilen SSID ve BSSID'ler, test penceresi, testi durdurabilecek kişi ve toplanan verilerin işlenme kuralları. İmzalayan kişi ağı yetkilendirebilmelidir: yönetilen hizmet sağlayıcı, bir müşterinin ağının denetimini ancak müşterinin yazılı onayıyla sipariş edebilir; bu yüzden bu belgeyi isteriz, satın alma siparişini yetki kanıtı olarak kabul etmeyiz.

Pasif çalışma önce gelir: dinlemek kimlik bilgisi veya bağlantı gerektirmez ve hizmeti kesmez, bu nedenle envanter ve ölçüm mesai saatinde kimse fark etmeden yapılabilir. Aktif çalışma — istemci olarak katılmadan yakalanan materyal üzerinde paylaşılan anahtar denemesine, erişilebilirlik testlerine ve her türlü çerçeve enjeksiyonuna kadar — kararlaştırılan pencerede, tercihen mesai dışında yapılır; çünkü ayrılma teknikleri gerçek cihazları üretim bölümünden koparır ve toplama işleminin ortasında bağlantısı düşen bir depo okuyucusu test değil, işletme duruşudur.

Durdurma koşulları da yazılı olarak kararlaştırılır: güvenlik açısından kritik bir sistem bağlı kalmalıdır, belirli bir tıbbi cihaz sınıfına dokunulmaz, kiralık bir kat kapsam dışıdır çünkü orada başka bir kiracı vardır. Testi yürüten mühendis bu listeyi yanında taşır ve rapor her işlemi saatiyle kaydeder; böylece müşteri tarafında beklenmeyen bir kopma teste atfedilebilir ya da kanıtla dışlanabilir.

Rapordaki her bulgu, onu üreten ölçümü, ölçümün yapıldığı noktayı ve onu destekleyen artefaktı belirtir. Paylaşılan anahtar bulgusu, parolanın zayıf olduğunu söyleyen bir satır değildir: yakalama yöntemi, türetme maliyeti, o parola sınıfının anahtar uzayı ve beyan edilen deneme hızında tam aramanın ne kadar süreceğini gösteren aritmetiktir. Ayrım ticari olarak da önemlidir: 232 yıllık hesaplamaya dayanan bir anahtar bulgu değildir; bulgu, tek bir paylaşılan sırrın 2019'dan beri bağlanan herkesin elinde olması ve her cihaza dokunmadan değiştirilememesidir.

Segmentasyon bulgusu bir matris satırıdır, bir iddia değil: misafir ağından test edilen üç yazıcının üçü de kurumsal ağda yanıt verdi, yani misafir izolasyonu uygulanan bir kontrol değil yazılı bir politika. Yetkisiz erişim noktası bulgusu, radyoyu kabloya bağlayan switch portunu, PoE çekişini ve OUI'yi belirtir; çünkü duyduğumuz ama yerini belirleyemediğimiz bir verici fotoğraftır, bulgu değil. İstemci davranışı bulgusu cihaz sınıfını, işletim sistemi sürümünü ve sahte ağa katılmaya izin veren ayarı belirtir.

Her bulgunun bir sorumlusu ve ağ dışından doğrulanabilir bir düzeltmesi vardır. Yetkisiz erişim noktasının kaldırılması ikinci bir ölçümle doğrulanır. Sertifika profilinin dağıtımı, profilin ulaştığına güvenerek değil, cihazdaki supplicant yapılandırması okunarak doğrulanır. Paylaşılan anahtarın değiştirilmesi, eski anahtarın artık bağlanmadığı görülerek doğrulanır. Bir düzeltme böyle doğrulanamıyorsa bunu yazar ve işi kabul etmeden önce doğrulama yöntemini öneririz.

Bir radyo değerlendirmesi duymadığını raporlayamaz. Pazar günü iki saat açılıp salı günü kaldırılan yetkisiz bir erişim noktası salı günkü ölçümde görünmez; bu boşluk denetleyicideki algılama kaydı ve sürekli izleme ile kapanır ki bu ayrı bir satın almadır. Değerlendirme, radyo uzayının bir andaki örneğidir ve rapor sürekli garanti ima etmek yerine bunu söyler.

Modern şifrelemenin arkasını da görmez. Ağ, korumalı yönetim çerçeveleri ve cihaz başına sertifikalarla WPA3 üzerinde çalışıyorsa yakalama üzerinden çevrimdışı saldırı yoktur; böyle yapılandırılmış bir ağda istemci trafiğini çözdüğünü söyleyen her iddia ya yanlış bir tanımdır ya da yapılandırmanın denetleyicinin beyan ettiği gibi olmadığının kanıtıdır. Böyle bir ağda gösterilebilen şeyler erişilebilirlik, istemci davranışı, kimlik bilgisi hijyeni ve envanterdir; gerçek bulgular genellikle oradadır.

Üç istisna ticari sohbete değil rapora aittir: erişim noktası eşleştirmesinin ötesindeki kablolu taraf, fiziksel güvenlik ve kablolamaya erişim, ve erişim noktalarının arkasındaki tedarik zinciri; yani yazılımın kaynağı, bulut denetleyici hesabı ve fabrika kimlik bilgileri. Bulut denetleyici hesabı ayrıca anılmalıdır; çünkü bugün internete açık bir yönetici erişimidir ve binadaki her radyoya yapılandırma itebilir. O hesabı ele geçirmek, bu sayfadaki herhangi bir radyo tekniğinden daha hızlı biçimde yabancı bir SSID'ye götürür.

Kablosuz çalışma, güvenlik işlerinin çoğundan hukuki sınıra daha yakındır; çünkü radyo kapsamı sahip olmadığınız alana uzanır. Her iş, müşterinin sahip olduğu veya yazılı olarak test etmeye yetkili olduğu ağlarla sınırlıdır ve yetki binayı değil SSID ve BSSID'leri adlandırır. Komşunun ağını, paylaşılan bir binanın yönetim ağını ya da kapsam dışındaki bir toplantı odasının wifi'sini değerlendirmek, sinyal ne kadar ilgi çekici olursa olsun yapılmaz; bu ağları gören bir ölçüm yalnızca gözlemi kaydeder, fazlasını değil. Aynı kural ev işini de belirler: bir ev ağı, siparişi veren kişi hattın ve yönlendiricinin sahibiyse değerlendirilir; örneğin kendi aile ağının güvenliğini gözden geçiren bir ebeveyn. Partnerin, kiracının veya yetişkin bir aile üyesinin ağında onların onayı olmadan yürütülmez.

İş yükü sayfada basılı bir fiyatla değil, mühendis-gün olarak ifade edilir: bir ila beş erişim noktası ve bir iki ağı olan tek lokasyon bir iki gün test uzmanı işidir; kurumsal kimlik doğrulama ve misafir izolasyonu olan çok katlı bir ofis üç ile beş gün; birden çok binası ve kapsamda IoT'si olan bir kampüs sabit gün sayısı vaat etmek yerine değişiklik pencereleri etrafında planlanır. Mesai dışı çalışma ve yol ek günler getirir, düzeltme sonrası yeniden test ayrıca fiyatlanır; böylece kabul testinin maliyeti ilk ölçümden önce bilinir.